Umowa powierzenia przetwarzania danych

§1Strony i przedmiot umowy

1. Umowa jest zawierana między Klientem, jako administratorem danych osobowych (dalej: Administrator), a Usługodawcą, jako podmiotem przetwarzającym (dalej: Podmiot przetwarzający), na podstawie art. 28 rozporządzenia (UE) 2016/679 (RODO).
2. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie i celu niezbędnym do świadczenia Usługi opisanej w Regulaminie OnePlace, a Podmiot przetwarzający zobowiązuje się przetwarzać je zgodnie z tą umową, Regulaminem i przepisami prawa.
3. Umowa stanowi Załącznik nr 1 do Regulaminu. Zostaje zawarta w formie elektronicznej z chwilą akceptacji Regulaminu przy zamówieniu i obowiązuje przez czas świadczenia Usługi.

§2Zakres, charakter i cel przetwarzania

1. Kategorie osób: klientki i klienci Administratora korzystający z Aplikacji, osoby zamawiające vouchery w Aplikacji, osoby obdarowane oraz osoby zapisujące się online do programu lojalnościowego Administratora.
2. Kategorie danych: imię, numer telefonu, adres e-mail, treść dedykacji i dane zamówienia vouchera, akceptacja regulaminu programu lojalnościowego (z datą i wersją) i informacja o zgodzie na SMS-y z ofertami, a także adres IP i dane techniczne zapisywane w dziennikach serwera.
3. Charakter przetwarzania: przechowywanie w ramach utrzymania Aplikacji (hosting), przyjęcie zamówienia vouchera lub zapisu do programu lojalnościowego i przekazanie ich na adres e-mail Administratora, usuwanie danych.
4. Cel: świadczenie Usługi, w szczególności utrzymanie Aplikacji i obsługa zamówień voucherów.
5. Powierzenie nie obejmuje szczególnych kategorii danych (art. 9 RODO). Aplikacja nie zbiera informacji o stanie zdrowia, a linki z przygotowaniem i zaleceniami zawierają wyłącznie kod, który nie ujawnia nazwy zabiegu.
6. Powierzenie nie obejmuje danych zapisywanych w panelu recepcji ani w telefonach osób korzystających z Aplikacji (np. terminy, punkty, lista kodów). Dane te pozostają na urządzeniach Administratora i tych osób, a Podmiot przetwarzający nie ma do nich dostępu.

§3Obowiązki Podmiotu przetwarzającego

1. Przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Poleceniem jest Regulamin, złożone zamówienie oraz zgłoszenia Klienta przesłane e-mailem lub SMS-em.
2. Zapewnia, aby osoby upoważnione do przetwarzania danych zobowiązały się do zachowania ich w tajemnicy.
3. Stosuje środki bezpieczeństwa, o których mowa w art. 32 RODO, w szczególności: szyfrowane połączenie (HTTPS), dostęp do kont hostingu i formularzy chroniony silnym hasłem i uwierzytelnianiem dwuskładnikowym, ograniczenie dostępu do niezbędnych osób oraz minimalizację danych.
4. Zamówienia voucherów i zapisy do programu lojalnościowego usuwa z panelu formularzy po przekazaniu ich Administratorowi, nie później niż po 30 dniach. Dowód zgody przechowuje Administrator, np. w swojej skrzynce e-mail.
5. Pomaga Administratorowi, w miarę możliwości, w odpowiadaniu na żądania osób, których dane dotyczą, oraz w wywiązywaniu się z obowiązków z art. 32–36 RODO.
6. Zawiadamia Administratora o naruszeniu ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od jego stwierdzenia, przekazując informacje potrzebne do zgłoszenia naruszenia.
7. Udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia przeprowadzenie audytu, po uzgodnieniu terminu z co najmniej 14-dniowym wyprzedzeniem, nie częściej niż raz w roku, chyba że doszło do naruszenia ochrony danych.

§4Dalsze powierzenie

1. Administrator wyraża ogólną zgodę na korzystanie przez Podmiot przetwarzający z usług dalszych podmiotów przetwarzających, które zapewniają ochronę danych na poziomie nie niższym niż ta umowa.
2. Aktualnie są to: Netlify, Inc. (USA): hosting Aplikacji i obsługa formularzy, z zastosowaniem standardowych klauzul umownych lub innych mechanizmów przewidzianych w RODO; Plausible Insights OÜ (Estonia, UE): statystyki odwiedzin bez plików cookie, bez danych pozwalających zidentyfikować osobę.
3. O planowanej zmianie dalszych podmiotów Podmiot przetwarzający informuje Administratora e-mailem z co najmniej 14-dniowym wyprzedzeniem. Administrator może zgłosić sprzeciw, a jeśli strony się nie porozumieją, wypowiedzieć umowę o świadczenie Usługi ze skutkiem na koniec opłaconego okresu.

§5Obowiązki Administratora

1. Administrator odpowiada za legalność przetwarzania danych swoich klientek i klientów, w tym za przekazanie im informacji o przetwarzaniu danych i za posiadanie wymaganych zgód, np. na SMS-y z ofertami.
2. Wzór informacji o przetwarzaniu danych do Aplikacji przygotowuje Usługodawca na podstawie danych z formularza, a Administrator potwierdza jej treść.

§6Zakończenie przetwarzania

1. Po zakończeniu świadczenia Usługi Podmiot przetwarzający usuwa powierzone dane w ciągu 30 dni, chyba że przepisy prawa nakazują ich dalsze przechowywanie. Na żądanie Administratora przed usunięciem przekazuje mu kopię danych, którymi jeszcze dysponuje.

§7Postanowienia końcowe

1. Odpowiedzialność stron za szkody wynikające z przetwarzania danych określa art. 82 RODO.
2. W sprawach nieuregulowanych stosuje się Regulamin OnePlace, RODO i przepisy prawa polskiego.
3. Umowa obowiązuje od 19 października 2026 r.

Wróć na stronę OnePlace · Regulamin · Polityka prywatności